Selección de TTPs del adversario asignado

Los indicadores atómicos como direcciones IP o hashes de archivos residen en la base de la Pirámide del Dolor de David Bianco: son triviales de modificar para un adversario y aportan poco aprendizaje a la defensa si se detectan de forma aislada.

El Red Team se enfoca en la cúspide de la pirámide (Tácticas, Técnicas y Procedimientos), emulando las metodologías de ejecución y persistencia características del actor de amenaza para poner a prueba si los sensores y cazadores del cliente son capaces de detectar el comportamiento anómalo.

Seleccionar un grupo APT especializado exclusivamente en espionaje gubernamental para evaluar a una cadena de distribución minorista carece de realismo táctico.

El marco metodológico (como TIBER-EU o CBEST) exige fundamentar la selección a partir de reportes de inteligencia de amenazas (CTI) que demuestren que el actor elegido ha atacado a organizaciones del mismo sector económico y en el mismo contexto geopolítico.

Los grupos cibercriminales avanzados despliegan con frecuencia rutinas de cifrado masivo (ransomware) o borrado deliberado de registros de arranque (wipers).

En un ejercicio ético de simulación, la matriz de emulación acordada con la White Cell debe sustituir las acciones destructivas por pruebas de impacto controlado (por ejemplo, crear un archivo de comprobación en una carpeta sensible o demostrar acceso administrativo sin alterar la operatividad de los servidores).